Qu'est-ce que la divulgation de cybersécurité SEC 8-K Item 1.05 ?

Les sociétés cotées font face à une nouvelle réalité : les incidents de cybersécurité majeurs ne sont plus des divulgations facultatives envers les actionnaires. Depuis le 18 décembre 2023, la SEC exige que les incidents de cybersécurité matériels soient déclarés via le Form 8-K Item 1.05 dans un délai de quatre jours ouvrés à compter de la détermination de matérialité.

Ce guide décrypte l'Item 1.05 en termes clairs : ce qui déclenche une obligation de divulgation, ce que les entreprises doivent inclure, les règles de délai, les reports autorisés et comment rester en conformité.

En bref

Le SEC 8-K Item 1.05, intitulé « Material Cybersecurity Incidents », oblige les sociétés cotées à divulguer les incidents de cybersécurité matériels dans un délai de quatre jours ouvrés à compter du moment où l'incident est déterminé comme matériel, et non quatre jours ouvrés à compter de sa découverte. « Matériel » désigne un incident qu'un investisseur raisonnable jugerait important pour sa décision d'investissement, typiquement une attaque par ransomware, une exfiltration de données clients, un arrêt de systèmes, ou une atteinte à la confidentialité ou à l'intégrité de données personnelles. Les entreprises doivent décrire les aspects matériels de la nature, de l'ampleur et du calendrier de l'incident, ainsi que son impact matériel ou son impact matériel raisonnablement probable sur l'entreprise, y compris sa situation financière et ses résultats d'exploitation. Un report n'est possible que si le procureur général des États-Unis détermine que la divulgation présenterait un risque substantiel pour la sécurité nationale ou la sécurité publique et en notifie la SEC par écrit. Le défaut de divulgation peut entraîner des mesures d'exécution de la SEC, des amendes, des sanctions à l'encontre des dirigeants et une atteinte à la réputation.

Qu'est-ce que la divulgation de cybersécurité SEC 8-K Item 1.05 ?

L'Item 1.05, intitulé « Material Cybersecurity Incidents », est un nouveau point de divulgation ajouté au Form 8-K (Current Report) par la règle finale de la SEC, Release No. 33-11216, adoptée en juillet 2023 et entrée en vigueur le 5 septembre 2023, avec une conformité exigée à compter du 18 décembre 2023 pour la plupart des émetteurs (les plus petites sociétés déclarantes disposaient d'un délai allant jusqu'au 15 juin 2024). Le Form 8-K lui-même est une déclaration que les sociétés cotées doivent déposer en vertu des Exchange Act Rules 13a-11 et 15d-11 pour signaler certains « événements matériels » : des développements d'entreprise majeurs comme des fusions, des changements de direction, une faillite, ou, depuis la nouvelle règle, des incidents de cybersécurité matériels.

L'Item 1.05 impose à l'entreprise de décrire les aspects matériels de la nature, de l'ampleur et du calendrier d'un incident de cybersécurité, ainsi que son impact matériel ou son impact matériel raisonnablement probable sur l'entreprise, y compris sa situation financière et ses résultats d'exploitation, dès lors que l'entreprise détermine que l'incident est matériel.

Remarque : l'Item 1.05 ne doit pas être confondu avec l'Item 2.05 du Form 8-K, un point de divulgation distinct et sans rapport, intitulé « Costs Associated with Exit or Disposal Activities », qui couvre les charges de restructuration, et non les incidents de cybersécurité.

Cette règle s'applique à toutes les entreprises soumises aux obligations d'information de la SEC, soit un peu plus de 4 000 sociétés cotées aux États-Unis. Elle ne s'applique pas aux entreprises privées, bien que les lois étatiques de notification des violations de données et les exigences des assurances cyber puissent imposer des obligations similaires.

Quand une entreprise doit-elle déposer un 8-K pour un incident de cybersécurité ?

L'événement déclencheur est la matérialité. Si un incident de cybersécurité est « matériel », c'est-à-dire qu'un investisseur raisonnable le jugerait important, l'entreprise doit déposer sa déclaration dans un délai de quatre jours ouvrés à compter de cette détermination.

La SEC ne définit pas de seuil unique et objectif (par exemple, « pertes supérieures à X millions de dollars » ou « plus de Y enregistrements affectés »). Les entreprises doivent au contraire appliquer un test qualitatif et quantitatif :

Quantitatif : impact financier (coûts directs, récupération, remédiation, amendes réglementaires, rançon).
Qualitatif : impact sur les opérations de l'entreprise, la confiance des clients, la conformité réglementaire, la propriété intellectuelle ou la position concurrentielle.

Exemples d'incidents généralement considérés comme matériels :

Attaques par ransomware empêchant les opérations pendant 24 heures ou plus, ou nécessitant des dépenses importantes de rançon ou de récupération.
Violations de données affectant des milliers d'enregistrements de clients ou d'employés (données personnelles telles que numéro de sécurité sociale, informations financières, dossiers médicaux).
Exfiltration de secrets commerciaux ou d'informations commerciales confidentielles.
Arrêts de systèmes affectant des fonctions critiques de l'entreprise (par exemple, la production ou les services destinés aux clients).
Conséquences réglementaires : perte de licence, intervention d'un state AG (procureur général d'un État), ou violations HIPAA/PCI.

En cas de doute sur la matérialité, la SEC attend de l'entreprise qu'elle privilégie la divulgation. Attendre de voir si la violation « prend de l'ampleur » ne constitue pas une justification pour un dépôt tardif.

Quelles informations précises doivent être divulguées au titre de l'Item 1.05 ?

La règle finale a resserré la liste de divulgation proposée pour se concentrer sur l'impact plutôt que sur le détail de l'incident. L'Item 1.05 impose à l'émetteur de décrire :

Nature, ampleur et calendrier de l'incident : ce qui s'est passé et quand, décrit à un niveau de détail permettant à un investisseur de comprendre l'incident.
Impact matériel ou impact matériel raisonnablement probable sur l'émetteur, y compris sa situation financière et ses résultats d'exploitation. La SEC a précisé que cela ne se limite pas aux chiffres financiers ; des facteurs qualitatifs tels que l'atteinte à la réputation, aux relations avec les clients ou les fournisseurs, ou à la compétitivité, ainsi que la possibilité de litiges ou de mesures réglementaires, peuvent également faire partie de l'impact matériel.

Si les informations requises ne sont pas encore déterminées ou disponibles à l'échéance du dépôt, l'Instruction 2 de l'Item 1.05 impose à l'entreprise de l'indiquer dans le 8-K, puis de déposer un amendement contenant les informations manquantes dans un délai de quatre jours ouvrés après leur détermination ou leur mise à disposition.

La SEC a explicitement refusé d'imposer la divulgation du statut des mesures correctives, de savoir si la réponse est en cours, ou si des données ont été compromises, bien que l'analyse de matérialité propre à chaque entreprise puisse tout de même l'amener à aborder ces points. L'Instruction 4 de l'Item 1.05 précise également qu'un émetteur n'a pas à divulguer d'informations spécifiques ou techniques sur sa réponse prévue à l'incident, ou sur ses systèmes de cybersécurité, ses réseaux associés et ses équipements, ou sur d'éventuelles vulnérabilités système, à un niveau de détail qui entraverait sa réponse ou ses mesures correctives.

La divulgation doit être suffisamment précise pour permettre à un investisseur de comprendre le risque, mais pas au point de fournir une feuille de route à d'autres acteurs malveillants.

Qu'est-ce qui constitue un incident de cybersécurité « matériel » ?

La matérialité est la question centrale. La SEC applique le critère de l'investisseur raisonnable : cette information influencerait-elle la décision d'acheter, de conserver ou de vendre le titre ?

Facteurs que la SEC considère comme matériels :

Atteinte à la confidentialité : accès non autorisé à des données personnelles, financières ou propriétaires, ou exfiltration de celles-ci (au-delà de 10 000 enregistrements, la balance penche souvent vers la matérialité).
Atteinte à l'intégrité : modification ou suppression de systèmes critiques, d'inventaires ou d'enregistrements (même si aucune donnée n'a été exfiltrée).
Perte de disponibilité : attaques par ransomware ou DoS interrompant les services pendant 24 heures ou plus ; opérations critiques de l'entreprise perturbées.
Impact financier : coûts directs, dépenses de récupération et de remédiation, et effet sur les résultats d'exploitation. La SEC n'a fixé aucun seuil financier objectif ; il s'agit d'une appréciation fondée sur les faits et les circonstances, et non d'un pourcentage ou d'un montant fixe.
Impact sur la marque ou le marché : divulgation publique de la violation, risque de perte de clients, perte de contrats.
Conséquences réglementaires : déclenchement d'enquêtes par un state AG, amendes HIPAA, non-conformité PCI, ou sanctions sectorielles.

Cas limites qui pourraient NE PAS être matériels :

Tentatives de phishing bloquées par les filtres de messagerie (aucune violation n'a eu lieu).
Identifiants d'un employé compromis de manière isolée (si correctement isolés et remplacés).
Incidents chez un prestataire tiers n'affectant pas vos systèmes ni vos données.
Exposition de données à faible volume (par exemple, 50 enregistrements clients sur une base de 500 000 clients).

Bonne pratique : en cas de doute, documentez l'analyse de matérialité en interne et envisagez la divulgation. La SEC sanctionne plus sévèrement l'absence de divulgation d'un incident matériel qu'une divulgation prématurée ou prudente.

Quelles sont les exigences de délai pour les dépôts 8-K Item 1.05 ?

Quatre jours ouvrés est le délai impératif, mais il se compte à partir de la date à laquelle l'entreprise détermine que l'incident est matériel, et non à partir de la date de découverte ou de survenue de l'incident. Découvrir un incident et déterminer qu'il est matériel sont deux étapes distinctes, et la règle finale de la SEC attend de l'entreprise qu'elle procède à cette détermination de matérialité « sans délai déraisonnable » après la découverte, de sorte qu'une entreprise ne peut pas reporter indéfiniment la détermination pour retarder le déclenchement du délai de dépôt.

Décomposition du calendrier :

Découverte : l'incident est détecté ; l'investigation commence.
Investigation : l'entreprise réunit suffisamment d'informations pour mener une analyse de matérialité, sans délai déraisonnable.
Détermination de matérialité : l'entreprise conclut que l'incident est (ou n'est pas) matériel. C'est le point de départ du délai de quatre jours ouvrés.
Dépôt : le Form 8-K Item 1.05 doit être déposé dans un délai de quatre jours ouvrés à compter de la détermination de matérialité.

Nuances importantes :

Les week-ends et jours fériés ne comptent pas : le délai de quatre jours ne comptabilise que les jours ouvrés, à l'exclusion des jours fériés fédéraux.
Le délai court à partir de la détermination, pas de la découverte : une entreprise qui retarde de manière déraisonnable sa détermination de matérialité n'échappe pas pour autant au délai ; la SEC peut toujours examiner si la détermination elle-même a été effectuée sans délai déraisonnable après la découverte.
Les informations préliminaires sont acceptées : si les informations requises ne sont pas encore déterminées ou disponibles, l'Instruction 2 de l'Item 1.05 permet à l'entreprise de l'indiquer dans le 8-K initial, puis de déposer un amendement avec ces informations dans un délai de quatre jours ouvrés après leur détermination ou leur mise à disposition.

Une entreprise peut-elle obtenir un report pour ses divulgations de cybersécurité 8-K ?

Oui, mais la décision n'appartient pas à l'entreprise. Conformément à l'Item 1.05(c), un émetteur ne peut retarder son dépôt que si le procureur général des États-Unis détermine que la divulgation présenterait un risque substantiel pour la sécurité nationale ou la sécurité publique, et notifie cette détermination par écrit à la SEC.

Comment fonctionne le report :

La période de report initiale est fixée par le procureur général, jusqu'à un maximum de 30 jours à compter de la date à laquelle la divulgation aurait autrement été due.
Ce report peut être prolongé d'une période supplémentaire allant jusqu'à 30 jours si le procureur général détermine à nouveau, par écrit, que la divulgation continue de présenter un risque substantiel.
Dans des circonstances extraordinaires, un dernier report supplémentaire allant jusqu'à 60 jours est possible, à nouveau sur notification écrite du procureur général, si le risque pour la sécurité nationale persiste.
Au-delà, tout report supplémentaire nécessite une dispense (exemptive relief) accordée par la SEC elle-même.

Le dispositif de report ne dispense pas l'entreprise de ses autres obligations, y compris la Regulation FD et les dispositions anti-fraude de la législation boursière. Une entreprise ne peut pas invoquer unilatéralement un report en se fondant sur une investigation interne ou externe en cours, une enquête des forces de l'ordre qu'elle a elle-même initiée, le secret professionnel avocat-client, ou sa propre appréciation selon laquelle la divulgation serait inopportune. Le mécanisme ne fonctionne que par le biais d'une détermination écrite du procureur général adressée à la SEC.

Si une entreprise invoque un report à tort, ou dépose sa déclaration en retard sans détermination valide du procureur général, elle s'expose à un risque de mesures d'exécution pour dépôt tardif.

Que se passe-t-il si une entreprise ne divulgue pas au titre de l'Item 1.05 ?

Le non-respect de cette obligation entraîne des sanctions importantes :

Mesures d'exécution de la SEC :

Sanctions civiles : la SEC peut demander des sanctions pécuniaires civiles pour violation des obligations de divulgation ; les plafonds par infraction sont fixés par la loi et ajustés périodiquement pour tenir compte de l'inflation, consultez le barème actuel des sanctions civiles de la SEC sur sec.gov avant de citer un montant précis.
Sanctions à l'encontre des dirigeants : la SEC peut interdire à des dirigeants d'exercer des fonctions de dirigeant ou d'administrateur.
Disgorgement : récupération des gains illicites si des dirigeants ont négocié des titres sur la base d'une connaissance non publique de la violation.
Ordonnances de cessation : interdiction de violer à l'avenir les règles de divulgation.

Conséquences secondaires :

Litiges d'actionnaires : les investisseurs peuvent engager des recours collectifs en matière boursière, en faisant valoir qu'ils ont été privés d'informations matérielles.
Impact sur le cours de l'action : une fois qu'une violation devient publique, que ce soit via le dépôt de l'entreprise elle-même, des révélations tierces ou une mesure réglementaire, la réaction du marché varie selon l'entreprise et l'incident ; l'analyse économique de la SEC elle-même sur cette règle cite des travaux académiques constatant qu'une divulgation tardive des incidents de cybersécurité peut entraîner une mauvaise valorisation des titres.
Dégradation de la notation de crédit : les agences de notation considèrent les violations non divulguées comme des défaillances de gouvernance.
Refus de l'assurance cyber : les assureurs peuvent refuser une réclamation si l'assuré n'a pas divulgué une violation antérieure à la SEC.
Confiance des clients et des fournisseurs : clients, partenaires et employés perdent confiance dans la gouvernance et la posture de sécurité de l'entreprise.

Pour connaître les mesures d'exécution réellement engagées par la SEC au titre de l'Item 1.05, consultez directement les mesures d'exécution et communiqués de contentieux de la SEC plutôt qu'un résumé de seconde main.

Comment les entreprises peuvent-elles rester en conformité avec l'Item 1.05 ?

1. Mettre en place un plan de réponse aux incidents cyber

Définir les déclencheurs de matérialité (seuils quantitatifs et qualitatifs).
Attribuer les rôles : équipe de réponse aux incidents, conseil juridique, directeur financier (pour l'estimation des coûts), relations investisseurs.
Créer un flux de notification pour que la direction soit informée dans les heures suivant la découverte.

2. Surveiller et détecter rapidement les incidents

Déployer des outils SIEM, EDR et de détection d'intrusion pour repérer rapidement les violations.
Réaliser régulièrement des tests d'intrusion et des exercices de simulation (tabletop).
Former les employés à signaler immédiatement toute activité suspecte.

3. Évaluer la matérialité rapidement (généralement sous 24 à 48 heures)

Rassembler les premiers faits : quels systèmes ont été touchés ? Quelles données ? Combien d'enregistrements ?
Estimer l'impact financier (coûts directs de récupération, amendes réglementaires potentielles, rançon).
Consulter le conseil juridique : l'incident est-il matériel ? Une exception de report s'applique-t-elle ?

4. Rédiger la déclaration 8-K Item 1.05

Utiliser un langage clair ; éviter le jargon.
Inclure la date, le type, l'ampleur et l'impact de l'incident.
Décrire les mesures d'atténuation immédiates (correctifs, isolation du réseau, rotation des identifiants).
Estimer les coûts financiers ; préciser si l'assurance peut couvrir une partie des coûts.
Signaler si l'investigation est en cours et si un 8-K modifié suivra.

Pour voir ce que d'autres entreprises ont divulgué par le passé, consultez notre article sur les exemples de divulgation d'incidents de cybersécurité en 8-K en 2026.

5. Déposer dans un délai de quatre jours ouvrés

Coordonner avec les relations investisseurs pour le dépôt via EDGAR.
Tenir un registre des dates de divulgation pour les audits de conformité.

6. Mettre à jour les actionnaires en cas de changement des faits

Si l'analyse forensique révèle une violation plus étendue que celle initialement divulguée, déposer un 8-K modifié (Form 8-K/A).
Si les coûts sont plus élevés que prévu, divulguer la mise à jour.
La SEC attend des entreprises qu'elles corrigent rapidement toute inexactitude matérielle.

7. Communiquer en externe (séparément du dépôt auprès de la SEC)

Le dépôt auprès de la SEC s'adresse aux investisseurs ; la notification aux clients est exigée par la législation d'État (et non par la règle de la SEC).
Faites coïncider votre lettre de notification de violation aux clients avec le dépôt du 8-K, ou faites-la suivre celui-ci.
Pour les violations de données d'employés, vérifiez également les exigences du droit du travail de votre État.

Pour en savoir plus sur la règle des quatre jours ouvrés de la SEC dans son contexte, consultez Règles de divulgation de cybersécurité de la SEC : les quatre jours ouvrés expliqués.

Coordination avec d'autres obligations de conformité

La divulgation au titre de l'Item 1.05 ne remplace pas les autres obligations de déclaration :

Lois étatiques de notification des violations : la plupart des États exigent la notification des clients affectés dans un délai de 30 à 60 jours (variable selon l'État).
Notification des violations HIPAA : les entités de santé couvertes doivent notifier les personnes concernées dans un délai de 60 jours.
Incidents PCI DSS : les prestataires de paiement doivent en informer les banques acquéreuses et les réseaux de cartes.
Réclamations d'assurance cyber : les assurés doivent notifier leur assureur selon les modalités prévues par la police (généralement dans un délai de 30 jours).

Le dépôt auprès de la SEC intervient souvent en premier (4 jours), suivi des notifications aux clients et aux organismes réglementaires.

Pour une conformité multi-États ou sectorielle, envisagez d'utiliser des outils ou services qui surveillent à la fois les obligations de la SEC et les réglementations au niveau des États. Si votre entreprise opère dans les secteurs RH ou de l'emploi, croisez ces informations avec HR Compliance Watch pour connaître les règles spécifiques à chaque État en matière de violations de données des employés.

Avertissement juridique

Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique, financier ou en investissement. Les déterminations de matérialité dépendent des faits propres à chaque situation et nécessitent de consulter un conseil juridique qualifié ainsi que votre conseil en matière de divulgation. Vérifiez toujours les obligations de divulgation par rapport aux orientations actuelles de la SEC, aux instructions les plus récentes du Form 8-K, et à la législation d'État applicable. La règle finale de la SEC sur l'Item 1.05 et ses interprétations ultérieures sont disponibles sur sec.gov. Si votre entreprise a subi un incident de cybersécurité, consultez immédiatement un avocat spécialisé en droit boursier.

Prêt à rester à jour sur les dépôts 8-K ?

La surveillance manuelle des dépôts SEC est lente et sujette aux erreurs. BreachTrigger alerte en temps réel vos équipes IR, cyber et MSSP des divulgations matérielles 8-K déposées par vos concurrents et pairs, afin que vous puissiez comparer les pratiques de divulgation, rester informé des menaces sectorielles, et détecter les incidents réglementaires ou susceptibles d'affecter le marché avant qu'ils ne fassent la une.

Découvrez comment les professionnels IR et les souscripteurs d'assurance cyber utilisent BreachTrigger pour surveiller les dépôts 8-K Item 1.05 : Explorez BreachTrigger.

Dernière mise à jour : 5 août 2026. Les orientations de la SEC référencées correspondent à la SEC Release No. 33-11216, la règle finale de 2023 sur la divulgation de cybersécurité au titre du Form 8-K Item 1.05 (entrée en vigueur le 5 septembre 2023 ; conformité exigée à compter du 18 décembre 2023 pour la plupart des émetteurs).